Les étiquettes d'appareil ne sont pas des identifiants VPN : trois affirmations à séparer

Les noms d'hôte, les numéros de série et les fichiers marqueurs cachés aident à étiqueter un ordinateur portable, et aucun d'eux ne prouve que l'ordinateur qui en présente un est l'appareil approuvé. L'admission repose sur trois affirmations distinctes : l'actif est celui que l'organisation a enregistré, le client possède l'identifiant émis pour lui, et cet identifiant est protégé comme la politique l'exige. Les fusionner en une seule vérification, c'est ainsi que des fichiers copiés et des clés clonées passent.

Trois affirmations fusionnées en une

Le registre d'inventaire décrit l'actif et son propriétaire. L'enrôlement lie un identifiant approprié à ce registre. Au moment de la connexion, le VPN vérifie la preuve qu'exige sa méthode configurée. Un numéro de série saisi dans un formulaire d'enrôlement ne devrait pas recevoir automatiquement l'autorisation de cet appareil, car le formulaire prouve seulement que quelqu'un connaît le numéro de série. Séparez les trois étapes et chacune peut être testée seule.

Un fichier marqueur est pire qu'un numéro de série à un égard : le copier est trivial, et chaque copie paraît tout aussi convaincante.

Voyez ce que l'appareil présente réellement

Regardez l'identifiant que le client stocke réellement avant de supposer qu'il est propre à l'appareil.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

La liste montre quels certificats de machine existent et si une clé privée est présente, ce qui fait la différence entre un fichier public et un identifiant utilisable. Le vidage du magasin ajoute le nom du fournisseur, et un fournisseur logiciel face à un fournisseur cryptographique de plateforme est le premier indice sur l'endroit où vit la clé. Un certificat sans sa clé privée n'authentifie rien, tandis que une clé privée exportée vers une autre machine rend l'identifiant portable quoi qu'en dise son sujet. Notez l'empreinte et le fournisseur plutôt que le nom affiché.

La protection matérielle exige des preuves

Un certificat est une information publique, la question pertinente est donc où vit la clé privée et si cette protection a été attestée. L'attestation de clé TPM décrit un demandeur qui prouve à une autorité de certification qu'une clé est protégée par un TPM de confiance, ce qui est plus fort que de nommer un fournisseur matériel dans une demande. C'est aussi une architecture avec ses propres hypothèses de confiance, pas quelque chose qu'un client VPN active par défaut. Confirmez ce que l'émetteur accepte et ce que la passerelle impose sur l'identifiant obtenu, car stockage, attestation et politique d'admission sont trois composants.

Une clé adossée au matériel ne dit toujours rien du niveau de correctifs, de l'affectation actuelle ou de l'usage de la session. Cela demande ses propres contrôles.

Rendez le remplacement et le retrait concrets

Planifiez ce qui se passe lorsqu'un appareil est perdu, réparé, réaffecté ou remplacé. Un changement de carte mère ou un magasin de clés effacé exige généralement un nouvel enrôlement pris en charge plutôt que la copie d'anciens secrets pour imiter la machine d'origine. Enregistrez l'actif, l'identifiant, le propriétaire, la décision d'enrôlement et le rôle d'accès ensemble, afin que l'administrateur suivant voie ce qui appartient à quoi. Retirez l'autorisation que la passerelle accepte réellement, car changer un statut d'inventaire ne prouve rien sur un identifiant ou une session existants.

Testez ensuite la limite : un appareil approuvé se connecte, une étiquette copiée seule non, et une identité retirée cesse de fonctionner. Un fichier nommé approved reste une étiquette tant qu'un processus fiable ne lui donne pas de sens.